在批量压缩.pcap.gz文件中查找特定字符串的命令行方案求助

我有大约7200个独立的.gz格式压缩.pcap文件，需要在数据包详情里查找特定字符串，当前使用的命令如下：

zcat 20230212*.pcap.gz | tcpdump -qns 0 -X | grep "specyfic string"

其中20230212*.pcap.gz是目标文件的匹配模式，已知问题出在tcpdump环节。

更新：尝试过的命令及问题 #

• 针对单个已解压的含目标字符串的文件，以下命令有效，但无法批量操作：

  tcpdump -qns 0 -A -r filename.pcap | grep "string"
  

• 使用-X参数的命令无法找到目标字符串：

  tcpdump -qns 0 -X -r filename.pcap | grep "string"
  

• 尝试批量处理的命令报错 tcpdump: option requires an argument -- 'r'：

  xargs zcat filename.pcap.gz | tcpdump -qns 0 -A -r | grep "string"
  

可行的批量处理方案 #

方案1：借助tcpdump标准输入读取（新版tcpdump适用）

新版tcpdump支持通过-r -从标准输入读取数据，结合zcat批量解压并管道传输：

zcat 20230212*.pcap.gz | tcpdump -qns 0 -A -r - | grep "目标字符串"

• 选择-A参数是因为它会将数据包内容以ASCII格式打印，更适合匹配文本字符串，这也是单个文件命令有效的核心原因；-X是十六进制+ASCII混合输出，格式差异可能导致grep无法匹配。
• 如果文件数量过多触发"参数列表过长"错误，改用find+xargs处理：

  find . -name "20230212*.pcap.gz" -print0 | xargs -0 zcat | tcpdump -qns 0 -A -r - | grep "目标字符串"
  

方案2：逐个文件循环处理（兼容性更强）

若你的tcpdump版本不支持-r -，可以用shell循环逐个处理压缩文件：

for file in 20230212*.pcap.gz; do
  zcat "$file" | tcpdump -qns 0 -A -r - | grep -q "目标字符串" && echo "匹配到目标字符串的文件：$file"
done

• -q让grep静默输出，只通过返回值判断是否匹配，结合echo可以直接定位到包含目标字符串的压缩文件，方便后续单独分析。

内容的提问来源于stack exchange，提问作者cinosz